Tämä kirjoitus on kolmiosaisen blogisarjan toinen osa, jossa tarkastelemme sisäisiä riskejä eri näkökulmista Euroopan kyberturvallisuuskuukauden (ECSM) hengessä. Ensimmäisessä osassa käsittelimme sisäisiä riskejä tietovuotojen, sähköpostiturvallisuuden, DLP-ratkaisujen sekä teknisen valvonnan näkökulmasta.
Lokakuu on Euroopan kyberturvallisuuskuukausi, jonka tavoitteena on lisätä tietoisuutta kyberturvallisuudesta ja turvallisista toimintatavoista. Aihe nousi esiin myös syyskuun lopussa, kun osallistuimme Marskidatalta Microsoft-kumppanimme järjestämään sisäisten riskien ja tietovuotojen megatrendejä käsitelleeseen webinaariin.
Webinaarissa käsiteltiin tietovuotojen taustatekijöitä, muuttuvaa uhkaympäristöä, sisäisten riskien hallintaa sekä teknologioita, joilla poikkeamia voidaan tunnistaa ja ehkäistä. Yksi keskustelujen keskeisistä havainnoista oli kuitenkin se, että riskit eivät muodostu irrallaan ympäröivästä maailmasta.
Webinaarissa viitattiin myös Understanding Trends & Patterns In Insider Threat: Analysis Of 1,000+ Cases -tutkimukseen. Aiheeseen voi syventyä tarkemmin Black Hat Europe 2025 -tallenteella (eng.).
Tässä osassa tarkastelemme sitä, miten muuttuva turvallisuusympäristö, ihmisiin kohdistuva vaikuttaminen ja luottamuksen väärinkäyttö liittyvät organisaatioiden turvallisuuteen.
Geopolitiikka näkyy myös organisaatioiden arjessa
Sisäiset riskit eivät muodostu tyhjiössä.
Webinaarissa käsiteltiin myös muuttuvaa geopoliittista toimintaympäristöä sekä sitä, miten erilaiset toimijat voivat pyrkiä hyödyntämään organisaatioiden ja ihmisten haavoittuvuuksia. Keskusteluissa nousivat esiin muun muassa ideologia, henkilökohtainen hyöty, kostomotiivit sekä ihmisiin kohdistuva vaikuttaminen.
Myös Suomen Kyberturvallisuuskeskus muistuttaa säännöllisesti organisaatioita muuttuvasta uhkaympäristöstä sekä turvallisten toimintatapojen merkityksestä osana kokonaisvaltaista riskienhallintaa.
Vaikuttaminen kohdistuu myös ihmisiin
Viimeaikainen uutisointi on muistuttanut siitä, että tiedonhankinta ei kohdistu ainoastaan järjestelmiin. Myös ihmiset voivat olla vaikuttamisen, manipuloinnin tai tiedonhankinnan kohteita. Esimerkiksi julkisuudessa käsitellyt epäillyt kansanedustajien asuntoihin kohdistuneet käynnit ovat herättäneet keskustelua siitä, miten tiedonhankinta voi kohdistua myös henkilöihin ja heidän toimintaympäristöönsä, ei pelkästään tietojärjestelmiin.
Ilmiö ei ole uusi. Historiasta löytyy lukuisia esimerkkejä tilanteista, joissa rikolliset, tiedustelupalvelut, ääriliikkeet tai muut vaikuttamaan pyrkivät toimijat ovat hyödyntäneet ihmisten haavoittuvuutta, tyytymättömyyttä, ulkopuolisuuden kokemuksia tai taloudellisia vaikeuksia omien tavoitteidensa edistämiseksi.
Myös Suojelupoliisin uhka-arvio nostaa esiin turvallisuusympäristön muutoksia, valtiollista vaikuttamista sekä yhteiskunnan turvallisuuteen kohdistuvia ilmiöitä. Vastaavasti Sisäministeriö muistuttaa, että väkivaltainen radikalisoituminen ja siihen liittyvät vaikuttamismekanismit voivat syntyä monista yksilöllisistä ja yhteiskunnallisista tekijöistä.
Organisaatioiden näkökulmasta tämä on tärkeä muistutus siitä, että turvallisuutta ei voida tarkastella pelkästään teknologian kautta. Myös ihmisiin kohdistuva vaikuttaminen, luottamuksen väärinkäyttö sekä erilaiset haavoittuvuudet kuuluvat osaksi turvallisuuden ja riskienhallinnan kokonaisuutta.
Turvallisuus rakentuu useasta kerroksesta:
- teknologisesta turvallisuudesta
- fyysisestä turvallisuudesta
- prosesseista
- ja ihmisistä
Kun tarkastelemme sisäisiä riskejä, meidän on huomioitava ne kaikki.
Tekoälyagentit muuttavat riskikenttää
Webinaarissa tarkasteltiin myös tulevaisuuden kehityssuuntia. Organisaatioissa otetaan käyttöön yhä enemmän tekoälyä, automaatiota ja erilaisia agenttiratkaisuja. Ne tarjoavat uusia mahdollisuuksia tehostaa toimintaa, mutta samalla tiedonhallinta, käyttöoikeudet, valvonta ja läpinäkyvyys korostuvat entisestään.
Jos tekoälyagentit ovat vielä vieras aihe, kannattaa tutustua kollegani Emmin kirjoitukseen Mikä ihmeen Copilot-agentti? Ja miksi siitä puhutaan nyt kaikkialla?, joka avaa aihetta käytännönläheisesti.
Mitä enemmän järjestelmät käsittelevät tietoa puolestamme, sitä tärkeämmäksi nousevat kysymykset:
- Mitä tietoa agentti saa käyttää?
- Mihin sillä on käyttöoikeus?
- Miten toimintaa valvotaan?
- Miten mahdolliset poikkeamat havaitaan?
Sisäinen riski ei siis ole katoamassa. Sen luonne muuttuu teknologian mukana.
Ihmiset osana turvallisuutta
Turvallisuuskeskustelussa huomio kohdistuu usein teknologiaan ja teknisiin suojauksiin. Webinaarin yksi kiinnostavimmista havainnoista oli kuitenkin se, kuinka vahvasti myös ihmisten toiminta, luottamus ja käyttäytyminen vaikuttavat organisaatioiden turvallisuuteen. Siksi sisäisiä riskejä kannattaa tarkastella sekä teknisestä, että inhimillisestä näkökulmasta.
Turvallisuus rakentuu useasta kerroksesta. Teknologia, prosessit ja fyysinen turvallisuus ovat kaikki tärkeitä, mutta niiden rinnalla on aina myös ihminen.
Tekoälyn yleistyminen, muuttuva turvallisuusympäristö ja ihmisiin kohdistuva vaikuttaminen muistuttavat siitä, että sisäisten riskien hallinta ei ole vain tekninen kysymys. Organisaatioiden näkökulmasta olennaista on myös ymmärtää, miksi ihmiset tekevät valintoja, jotka voivat johtaa riskeihin tai tietoturvapoikkeamiin.
Webinaarista jäi kuitenkin mieleen yksi ajatus, joka on seurannut mukana vielä tapahtuman jälkeenkin.
Jos tiedämme jo melko hyvin, miksi riskejä syntyy, miksi puhumme edelleen niin vähän siitä, miten niiden syntymiseen voidaan vaikuttaa?
Juuri siihen näkökulmaan pureudun sarjan kolmannessa osassa. Entä jos osa tehokkaimmista turvallisuustoimista löytyykin teknologiasta tutun keskustelun ulkopuolelta, kulttuurista, perehdytyksestä, luottamuksesta, kohtaamisista ja jopa empatiasta?
